リスクベース認証｜情報処理安全確保支援士 平成28年 秋期午前Ⅱ試験 問6
出典：平成28年秋期 午前Ⅱ 問6
分野：セキュリティ ／ 情報セキュリティ
リスクベース認証に該当するものはどれか。
- ア：インターネットからの全てのアクセスに対し，トークンで生成されたワンタイムパスワードで認証する。
- イ：インターネットバンキングでの連続する取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。
- ウ：利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。
- エ：利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。
TSUNAGARU-ADVICE
まず押さえたいこと
リスクベース認証は、利用者のアクセス状況や環境を分析し、通常と異なるアクセスなどリスクが高いと判断した場合にだけ追加認証を求める方式です。ポイントは、アクセスごとのリスクに応じて認証の強さを変えることです。
迷ったときの判断軸
全てのアクセスでワンタイムパスワードを使う方式や、毎回乱数表を使う方式は、リスクに応じて認証方法を変えているわけではありません。また、複数の認証要素を常に組み合わせるのは多要素認証です。リスクベース認証では、IPアドレス・端末情報・アクセス地域・利用時間帯などを基に追加認証の要否を判断すると整理しましょう。
科目Bにつなげるために
科目Bでは、不正ログイン・アカウント乗っ取り・多要素認証・アクセスログ・異常検知などと組み合わせて問われることがあります。認証方式を考えるときは、全利用者に一律の強い認証を課すのか、それともリスクの高いアクセスだけ追加認証するのかを切り分けて考えると理解しやすくなります。
リスクベース認証は、アクセスしてきた利用者の状況を分析し、普段と異なるアクセスなどリスクが高いと判断した場合に、追加の認証を求める方式です。
例えば、普段利用している端末やIPアドレス、アクセス元の地域などと異なる環境からログインした場合に、ワンタイムパスワードなどの追加認証を要求します。常に同じ強さの認証を行うのではなく、状況に応じて認証を強化する点が特徴です。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：インターネットからの全てのアクセスに対し，トークンで生成されたワンタイムパスワードで認証する。
⇒ワンタイムパスワードを用いた認証の説明です。全てのアクセスに対して一律に実施しているため、利用状況に応じて認証方法を変えるリスクベース認証には該当しません。
イ：インターネットバンキングでの連続する取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。
⇒取引ごとに追加の認証を行う方式ですが、アクセス環境やリスクの程度を分析して認証を強化しているわけではありません。
エ：利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。
⇒多要素認証の説明です。知識要素・所持要素・生体要素など、異なる要素を二つ以上組み合わせて認証します。リスクベース認証は、アクセス状況に応じて追加認証の要否を判断する方式です。